p>Исследователи из британской компании Pen Test Partners, работающей в сфере информационной безопасности, обнаружили серьёзную уязвимость в электронном поясе верности для мужчин Qiui Cellmate, который позиционируется как «первое в мире устройство для соблюдения целомудрия, управляемое с помощью приложения». Уязвимость может использоваться для полной блокировки устройства, после которой снять его без физического вмешательства не удастся.

Qiui Cellmate представляет собой пояс верности и позволяет партнёру удалённо блокировать и разблокировать устройство на мужчине с помощью специального приложения, которое по Bluetooth передаёт команды устройству. Оказалось, что для взаимодействия приложения с устройством используется незащищённый API-интерфейс, получив доступ к которому, можно перехватить управление поясом верности и заблокировать его. Уязвимость API также открывает доступ к личным сообщениям в сопутствующем приложении и данным о местоположении пользователя.  

Примечательно, что в случае блокировки снять устройство без физического вмешательства не удастся. Специалисты отмечают, что для того, чтобы снять заблокированный пояс верности Qiui Cellmate может потребоваться угловая шлифовальная машина или мощный болторез.

Впервые об уязвимости стало известно в июне этого года и с тех пор производитель пояса верности перешёл на более надёжный API, который применяется в новых устройствах. Однако пользователи более старых поясов продолжают подвергать себя опасности, поскольку управление устройством может в любой момент перейти в чужие руки. Разработчик обещал устранить уязвимость в августе, но она и сейчас продолжает оставаться актуальной. Поэтому исследователи приняли решение обнародовать результаты своей работы.

Неизвестно, задействовалась ли уязвимость API злоумышленниками на практике. На основе пользовательских отзывов можно сделать вывод о том, что Qiui Cellmate использует «сырое» программное обеспечение, которое работает нестабильно и периодически приводит к сбоям, из-за которых пояс верности временно блокируется без какой-либо команды.